CVE-2021-35587とは？Oracle Fusion Middlewareの脆弱性をわかりやすく解説

ひとことでOracle Access Manager で、ログインなしに製品ごと乗っ取られるおそれがある弱点です。
深刻度9.8 緊急CVSS v3.1
まずやることAccess Manager の版を確かめる

基本情報（データから表示）

CVE番号	CVE-2021-35587
製品	Oracle Fusion Middleware
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-11-28
米国政府機関の対応期限	2022-12-19
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-502（信頼できないデータのデシリアライズ） CWE-790

何が起きた

Oracle Fusion Middleware の Oracle Access Manager（OpenSSO Agent という部品）に、弱点が見つかりました。ネットワークに接続できる攻撃者が HTTP を通じて悪用でき、成功すると Oracle Access Manager を乗っ取られるおそれがあります。この弱点は実際に悪用されたことが確認されています。攻撃者はネットワーク経由で、ログインなしに、利用者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Oracle Access Manager の 11.1.2.3.0、12.2.1.3.0、12.2.1.4.0 を使っている組織が対象です。

何をすればいい

この弱点の修正は、Oracle の 2022年1月の Critical Patch Update（定期的なセキュリティ修正のまとめ）に含まれています。これを適用してください。Oracle は、サポートが続いている版を使い、Critical Patch Update をすぐに適用するよう強く勧めています。あわせて、Oracle の公式の案内を確認してください。

やることチェックリスト

Access Manager の版を確かめる
Critical Patch Update を適用する
サポートが続いている版を使う

用語メモ

Oracle Access Manager: Oracle の製品で、複数の業務システムへのログインや、誰が何を使えるかをまとめて管理します。
Critical Patch Update 用語集で見る: Oracle が決まった時期に出す、セキュリティ修正をまとめたものです。
HTTP 用語集で見る: Web ページを見るときなどに使われる、通信の決まりです。

次に読む

同じ製品・メーカーの脆弱性Oracle Fusion Middleware（CVE-2025-61757）9.8 緊急CVSS v3.1Oracle の Identity Manager に、ログインなしで乗っ取られる弱点があります同じ製品・メーカーの脆弱性Oracle Fusion Middleware（CVE-2020-2551）9.8 緊急CVSS v3.1Oracle WebLogic Server が、ログインなしで乗っ取られる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Oracle Fusion Middleware Unspecified Vulnerability

概要

Oracle Fusion Middleware Access Manager allows an unauthenticated attacker with network access via HTTP to takeover the Access Manager product.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Oracle Fusion Middleware の脆弱性（CVE-2021-35587）